?
本文檔使用 php中文網(wǎng)手冊 發(fā)布
HTTP Content-Security-Policy base-uri指令限制可以在文檔<base>元素中使用的URL 。如果此值不存在，則允許使用任何URI。如果此指令不存在，則用戶代理將使用該<base>元素中的值。
CSP版本 | 2 |
|---|---|
指令類型 | Document指令 |
默認(rèn)-src后備 | 不可以。 |
句法
基地政策可以允許一個或多個來源：
Content-Security-Policy: base-uri <source>;Content-Security-Policy: base-uri <source> <source>;
來源
<source>可以是以下之一：
通過名稱或IP地址的<host-source> Internet 主機，以及可選的 URL方案 and/or 端口號。該站點的地址可能包含一個可選的前導(dǎo)通配符（星號字符'*'），并且可以使用通配符（再次'*'）作為端口號，表示所有合法端口對于源都有效。
示例：
http://*.example.com：匹配使用http:URL方案從 example.com 的任何子域加載的所有嘗試。
mail.example.com:443：匹配所有嘗試訪問 mail.example.com 上的端口443的嘗試。
https://store.example.com：匹配所有嘗試訪問 store.example.com 使用https:。
<scheme-source>一種模式，如'http:' 或 'https:'。冒號是必需的，不應(yīng)使用單引號。您也可以指定數(shù)據(jù)模式（不推薦）。
data:允許將data:URI用作內(nèi)容源。這是不安全的; 攻擊者也可以注入任意數(shù)據(jù)：URI。謹(jǐn)慎使用這一點，絕對不適用于腳本。
mediastream:允許將mediastream:URI 用作內(nèi)容源。
blob:允許將blob:URI 用作內(nèi)容源。
filesystem:允許將filesystem:URI 用作內(nèi)容源。
'self'指受保護文檔的來源，包括相同的URL方案和端口號。你必須包括單引號。一些瀏覽器特別排除blob和filesystem從源指令。需要允許這些內(nèi)容類型的網(wǎng)站可以使用Data屬性來指定它們。
'unsafe-inline'允許使用內(nèi)聯(lián)資源，如內(nèi)聯(lián)<script>元素，javascript:URL，內(nèi)聯(lián)事件處理程序和內(nèi)聯(lián)<style>元素。你必須包括單引號。
'unsafe-eval'允許使用eval()和類似的方法從字符串創(chuàng)建代碼。你必須包括單引號。
'none'指空集；也就是說，沒有URL匹配。單引號是必需的。
'nonce- <base64-value>'使用加密隨機數(shù)（使用一次的數(shù)字）的特定內(nèi)聯(lián)腳本的白名單。每次發(fā)送策略時，服務(wù)器都必須生成唯一的隨機數(shù)值。提供一個無法猜測的隨機數(shù)是非常重要的，因為繞過資源的策略是微不足道的。例如，查看不安全的內(nèi)聯(lián)腳本。
<hash-source>內(nèi)聯(lián)腳本或樣式的sha256，sha384或sha512。生成散列時，不要包含<script>或<style>標(biāo)記，并注意大小寫和空白字符，包括前導(dǎo)或尾隨空格。請參閱不安全的內(nèi)聯(lián)腳本。
“strict-dynamic”strict-dynamic源表達(dá)式指定顯式給予標(biāo)記中存在的腳本的信任，通過附加一個隨機數(shù)或散列值，應(yīng)該傳播給由該腳本加載的所有腳本。與此同時，任何白名單或源表達(dá)式（例如'self'或'unsafe-inline'將被忽略）。有關(guān)示例，請參閱script-src。
示例
元標(biāo)簽配置
<meta http-equiv="Content-Security-Policy" content="base-uri 'self'">
Apache配置
<IfModule mod_headers.c> Header set Content-Security-Policy "base-uri 'self';</IfModule>
Nginx配置
add_header Content-Security-Policy "base-uri 'self';"
違規(guī)示例
鑒于你的域不是 example.com，使用<base>href設(shè)置為 example.com 的元素將導(dǎo)致CSP違規(guī)。
<meta http-equiv="Content-Security-Policy" content="base-uri 'self'"> <base href="http://example.com/"> // Error: Refused to set the document's base URI to 'http://example.com/' // because it violates the following Content Security Policy // directive: "base-uri 'self'"
規(guī)范
規(guī)范 | 狀態(tài) | 評論 |
|---|---|---|
內(nèi)容安全策略級別3該規(guī)范中'base-uri'的定義。 | 編輯草稿 | 沒有變化。 |
內(nèi)容安全策略級別2在該規(guī)范中的'base-uri'的定義。 | 建議 | 初始定義。 |
瀏覽器兼容性
特征 | Chrome | Firefox | Edge | Internet Explorer | Opera | Safari |
|---|---|---|---|---|---|---|
基本支持 | 40 | 35.0 | (No) | (No) | 27 | 10 |
特征 | Android | Chrome for Android | Edge mobile | Firefox for Android | IE mobile | Opera Android | iOS Safari |
|---|---|---|---|---|---|---|---|
基本支持 | ? | (Yes) | (No) | 35.0 | (No) | ? | 9.3 |